OAuth ve Google ile Oturum Açma ile Basitleştirilmiş Bağlantı

Genel Bakış

OAuth tabanlı Google ile Oturum Açma - Basitleştirilmiş bağlantı oluşturma, OAuth bağlantısının üzerine Google ile Oturum Açma'yı ekler. Bu, Google kullanıcıları için sorunsuz bir bağlantı deneyimi sağlar ve hesap oluşturmaya da olanak tanır. Böylece kullanıcılar, Google Hesaplarını kullanarak hizmetinizde yeni bir hesap oluşturabilir.

OAuth ve Google ile oturum açma kullanarak hesap bağlama işlemini gerçekleştirmek için şu genel adımları uygulayın:

Öncelikle kullanıcıdan Google profiline erişim izni vermesini isteyin.
Kullanıcı hesabının mevcut olup olmadığını kontrol etmek için profilindeki bilgileri kullanın.
Mevcut kullanıcılar için hesapları bağlayın.
Kimlik doğrulama sisteminizde Google kullanıcısıyla eşleşen bir kullanıcı bulamıyorsanız Google'dan alınan kimlik jetonunu doğrulayın. Daha sonra, kimlik jetonunda yer alan profil bilgilerine göre bir kullanıcı oluşturabilirsiniz.

Bu şekil, kullanıcının basitleştirilmiş bağlantı akışını kullanarak Google Hesabı'nı bağlama adımlarını gösterir. İlk ekran görüntüsünde, kullanıcının bağlantı oluşturmak için uygulamanızı nasıl seçebileceği gösterilmektedir. İkinci ekran görüntüsü, kullanıcının hizmetinizde mevcut bir hesabı olup olmadığını onaylamasına olanak tanır. Üçüncü ekran görüntüsünde, kullanıcının bağlamak istediği Google Hesabı'nı seçmesine izin veriliyor. Dördüncü ekran görüntüsünde, kullanıcının Google Hesabı'nı uygulamanıza bağlama onayı gösteriliyor. Beşinci ekran görüntüsünde ise Google uygulamasında başarıyla bağlanmış bir kullanıcı hesabı gösteriliyor.

Şekil 1. Basitleştirilmiş Bağlantı ile kullanıcının telefonunda hesap bağlama

Basitleştirilmiş bağlantı oluşturma koşulları

Temel web OAuth bağlantısı akışını uygulayın. Hizmetiniz, OAuth 2.0 uyumlu yetkilendirme ve jeton değişimi uç noktalarını desteklemelidir.
Jeton değişimi uç noktanız JSON Web Token (JWT) onaylarını desteklemeli ve check, create ve get intent'lerini uygulamalıdır.

Google API'si istemci kimliğinizi kaydedin.

OAuth sunucunuzu uygulama

Jeton değişimi uç noktanız check, create, get amaçlarını desteklemelidir. Hesap bağlama akışını tamamlamak ve farklı amaçların ne zaman kullanıldığını öğrenmek için aşağıdaki adımları uygulayın:

Kullanıcının kimlik doğrulama sisteminizde hesabı var mı? (Kullanıcı EVET veya HAYIR'ı seçerek karar verir)
1. EVET : Kullanıcı, platformunuzda oturum açmak için Google Hesabı ile ilişkili e-posta adresini kullanıyor mu? (Kullanıcı EVET veya HAYIR'ı seçerek karar verir)
  1. EVET : Kullanıcının kimlik doğrulama sisteminizde eşleşen bir hesabı var mı? (Onaylamak için check intent numaralı telefon aranır)
    1. EVET : get intent aranır ve get intent başarılı bir şekilde döndürülürse hesap bağlanır.
    2. HAYIR : Yeni Hesap Oluştur? (Kullanıcı EVET veya HAYIR'ı seçerek karar verir)
      1. EVET : create intent çağrılır ve oluşturma amacı başarılı bir şekilde döndürülürse hesap bağlanır.
      2. HAYIR : Web OAuth akışı tetiklenir, kullanıcı tarayıcısına yönlendirilir ve farklı bir e-postayla bağlantı oluşturma seçeneği sunulur.
  2. HAYIR : Web OAuth akışı tetiklenir, kullanıcı tarayıcısına yönlendirilir ve farklı bir e-postayla bağlantı oluşturma seçeneği sunulur.
2. HAYIR : Kullanıcının kimlik doğrulama sisteminizde eşleşen bir hesabı var mı? (Onaylamak için check intent numaralı telefon aranır)
  1. EVET : get intent aranır ve get intent başarılı bir şekilde döndürülürse hesap bağlanır.
  2. HAYIR : create intent çağrılır ve oluşturma amacı başarılı bir şekilde döndürülürse hesap bağlanır.

Mevcut kullanıcı hesabı olup olmadığını kontrol etme (amacı kontrol edin)

Kullanıcı Google profiline erişim izni verdikten sonra Google, isteği tarafından sağlanır. İlgili içeriği oluşturmak için kullanılan onay işlemi, kullanıcının Google Hesabı kimliğini, ve e-posta adresini girin. Sizin için yapılandırılan jeton değişimi uç noktası: bu isteği yerine getirir.

İlgili Google Hesabı zaten kimlik doğrulamanızda mevcutsa kullanıyorsanız jeton değişimi uç noktanız account_found=true ile yanıt verir. Öğe Google Hesabı mevcut bir kullanıcıyla eşleşmiyor, jeton değişimi uç noktanız account_found=false ile birlikte HTTP 404 Bulunamadı hatası döndürüyor.

Talep aşağıdaki biçimdedir:

POST /token HTTP/1.1
Host: oauth2.example.com
Content-Type: application/x-www-form-urlencoded

grant_type=urn:ietf:params:oauth:grant-type:jwt-bearer&intent=check&assertion=JWT&scope=SCOPES&client_id=GOOGLE_CLIENT_ID&client_secret=GOOGLE_CLIENT_SECRET

Jeton değişimi uç noktanız aşağıdaki parametreleri işleyebilmelidir:

Jeton uç noktası parametreleri
`intent`	Bu istekler için bu parametrenin değeri şu şekildedir: `check`
`grant_type`	Değişen jetonun türü. Söz konusu parametresi `urn:ietf:params:oauth:grant-type:jwt-bearer` değerine sahiptir.
`assertion`	Google Cloud konsolunun imzalı onayını sağlayan bir JSON Web Token (JWT) kullanıcı kimliği. JWT, kullanıcının Google Hesabı kimliği, adı ve e-posta adresi.
`client_id`	Google'a atadığınız istemci kimliği.
`client_secret`	Google'a atadığınız istemci gizli anahtarı.

check intent isteklerine yanıt vermek için jeton değişimi uç noktanızın aşağıdaki adımları uygulaması gerekir:

JWT onayını doğrulayın ve kodunu çözün.
Google hesabının kimlik doğrulama sisteminizde olup olmadığını kontrol edin.

JWT onayını doğrulama ve kodunu çözme

JWT onayını doğrulamak ve kodunu çözmek için Diliniz için JWT kod çözme kitaplığı. Tekliflerinizi otomatikleştirmek ve optimize etmek için Google'ın genel anahtarları JWK veya PEM biçimlerini doğrulamak için jetonun imzası.

Kodu çözüldüğünde JWT onayı aşağıdaki örnek gibi görünür:

{
  "sub": "1234567890",      // The unique ID of the user's Google Account
  "iss": "https://accounts.google.com",        // The assertion's issuer
  "aud": "123-abc.apps.googleusercontent.com", // Your server's client ID
  "iat": 233366400,         // Unix timestamp of the assertion's creation time
  "exp": 233370000,         // Unix timestamp of the assertion's expiration time
  "name": "Jan Jansen",
  "given_name": "Jan",
  "family_name": "Jansen",
  "email": "jan@gmail.com", // If present, the user's email address
  "email_verified": true,   // true, if Google has verified the email address
  "hd": "example.com",      // If present, the host domain of the user's GSuite email address
                            // If present, a URL to user's profile picture
  "picture": "https://lh3.googleusercontent.com/a-/AOh14GjlTnZKHAeb94A-FmEbwZv7uJD986VOF1mJGb2YYQ",
  "locale": "en_US"         // User's locale, from browser or phone settings
}

Jetonun imzasını doğrulamanın yanı sıra onaylamanın iss alanı https://accounts.google.com ise, (aud alanı) atanmış istemci kimliğinizdir ve jetonun süresinin dolmadığından emin olun. (exp alanı).

email, email_verified ve hd alanlarını kullanarak aşağıdakilerin geçerli olup olmadığını belirleyebilirsiniz: Google, e-posta adreslerini barındırır ve bu adres konusunda yetkilidir. Google'ın, kullanıcının şu anda meşru hesap sahibi olduğu bilinen yetkili Ayrıca şifre veya diğer sorgulama yöntemlerini atlayabilirsiniz. Aksi halde bu yöntemler önce hesabı doğrulamak için kullanılabilir.

Google'ın yetkili olduğu durumlar:

email adresinin @gmail.com son eki var. Bu bir Gmail hesabı.
email_verified doğru ve hd ayarlandı. Bu bir G Suite hesabı.

Kullanıcılar, Gmail veya G Suite kullanmadan Google Hesaplarına kaydolabilir. Zaman email, @gmail.com son eki içermiyor ve hd mevcut değilse Google kimlik doğrulama, şifre veya diğer sorgulama yöntemlerinin önerildiğini gösterir. email_verified, Google ilk olarak kullanıcı hesabı sırasında üçüncü tarafın e-posta hesabı değişmiş olabilir.

Google Hesabı'nın kimlik doğrulama sisteminizde olup olmadığını kontrol edin

Aşağıdaki koşullardan herhangi birinin doğru olup olmadığını kontrol edin:

Onaylamanın sub alanında bulunan Google Hesabı kimliği kullanıcınızda yer alır.
Onaylamadaki e-posta adresi, kullanıcı veritabanınızdaki bir kullanıcıyla eşleşiyor.

İki koşul da doğruysa kullanıcı zaten kaydolmuş demektir. Böyle bir durumda, şuna benzer bir yanıt döndür:

HTTP/1.1 200 Success
Content-Type: application/json;charset=UTF-8

{
  "account_found":"true",
}

Belgede belirtilen Google Hesabı Kimliği veya e-posta adresi Onaylama, veritabanınızdaki bir kullanıcıyla eşleşiyorsa kullanıcı henüz kaydolmadı. İçinde Bu durumda, jeton değişimi uç noktanızın HTTP 404 hatasıyla yanıt vermesi gerekir değerini döndürür, aşağıdaki örnekte olduğu gibi: "account_found": "false"

HTTP/1.1 404 Not found
Content-Type: application/json;charset=UTF-8

{
  "account_found":"false",
}

Otomatik bağlamayı yönetme (amaca alma)

İlgili Google Hesabı zaten kimlik doğrulamanızda mevcutsa yeni bir sistem yüklediğinizde, jeton değişimi uç noktanız kullanıcı için bir jeton döndürür. Öğe Google Hesabı mevcut bir kullanıcıyla eşleşmiyor, jeton değişimi uç noktanız bir linking_error hatası ve isteğe bağlı login_hint döndürür.

Talep aşağıdaki biçimdedir:

POST /token HTTP/1.1
Host: oauth2.example.com
Content-Type: application/x-www-form-urlencoded

grant_type=urn:ietf:params:oauth:grant-type:jwt-bearer&intent=get&assertion=JWT&scope=SCOPES&client_id=GOOGLE_CLIENT_ID&client_secret=GOOGLE_CLIENT_SECRET

Jeton değişimi uç noktanız aşağıdaki parametreleri işleyebilmelidir:

Jeton uç noktası parametreleri
`intent`	Bu istekler için bu parametrenin değeri `get` şeklindedir.
`grant_type`	Değişen jetonun türü. Söz konusu parametresi `urn:ietf:params:oauth:grant-type:jwt-bearer` değerine sahiptir.
`assertion`	Google Cloud konsolunun imzalı onayını sağlayan bir JSON Web Token (JWT) kullanıcı kimliği. JWT, kullanıcının Google Hesabı kimliği, adı ve e-posta adresi.
`scope`	İsteğe bağlı: Google'ın istekte bulunacak şekilde yapılandırdığınız tüm kapsamlar yardımcı olur.
`client_id`	Google'a atadığınız istemci kimliği.
`client_secret`	Google'a atadığınız istemci gizli anahtarı.

get intent isteklerine yanıt vermek için jeton değişimi uç noktanızın aşağıdaki adımları uygulaması gerekir:

JWT onayını doğrulayın ve kodunu çözün.
Google hesabının kimlik doğrulama sisteminizde olup olmadığını kontrol edin.

JWT onayını doğrulama ve kodunu çözme

Kodu çözüldüğünde JWT onayı aşağıdaki örnek gibi görünür:

{
  "sub": "1234567890",      // The unique ID of the user's Google Account
  "iss": "https://accounts.google.com",        // The assertion's issuer
  "aud": "123-abc.apps.googleusercontent.com", // Your server's client ID
  "iat": 233366400,         // Unix timestamp of the assertion's creation time
  "exp": 233370000,         // Unix timestamp of the assertion's expiration time
  "name": "Jan Jansen",
  "given_name": "Jan",
  "family_name": "Jansen",
  "email": "jan@gmail.com", // If present, the user's email address
  "email_verified": true,   // true, if Google has verified the email address
  "hd": "example.com",      // If present, the host domain of the user's GSuite email address
                            // If present, a URL to user's profile picture
  "picture": "https://lh3.googleusercontent.com/a-/AOh14GjlTnZKHAeb94A-FmEbwZv7uJD986VOF1mJGb2YYQ",
  "locale": "en_US"         // User's locale, from browser or phone settings
}

Google'ın yetkili olduğu durumlar:

email adresinin @gmail.com son eki var. Bu bir Gmail hesabı.
email_verified doğru ve hd ayarlandı. Bu bir G Suite hesabı.

Google Hesabı'nın kimlik doğrulama sisteminizde olup olmadığını kontrol edin

Aşağıdaki koşullardan herhangi birinin doğru olup olmadığını kontrol edin:

Onaylamanın sub alanında bulunan Google Hesabı kimliği kullanıcınızda yer alır.
Onaylamadaki e-posta adresi, kullanıcı veritabanınızdaki bir kullanıcıyla eşleşiyor.

Kullanıcı için bir hesap bulunursa bir erişim jetonu yayınlayın ve değerleri, aşağıdaki örnekte gösterildiği gibi HTTPS yanıtınızın gövdesinde bir JSON nesnesinin içinde döndürün:

{
  "token_type": "Bearer",
  "access_token": "ACCESS_TOKEN",
  "refresh_token": "REFRESH_TOKEN",
  "expires_in": SECONDS_TO_EXPIRATION
}

Bazı durumlarda kimlik jetonuyla hesap bağlama işlemi kullanıcı için başarısız olabilir. Eğer herhangi bir nedenle olursa jeton değişimi uç noktanızın bir HTTP Aşağıdaki örnekte gösterildiği gibi, error=linking_error belirten 401 hatası:

HTTP/1.1 401 Unauthorized
Content-Type: application/json;charset=UTF-8

{
  "error":"linking_error",
  "login_hint":"foo@bar.com"
}

Google linking_error ile ilgili bir 401 hatası yanıtı aldığında, Google kullanıcıyı parametre olarak login_hint ile yetkilendirme uç noktanıza yönlendirin. İlgili içeriği oluşturmak için kullanılan Kullanıcı, tarayıcıdaki OAuth bağlantı akışını kullanarak hesap bağlama işlemini tamamladığında.

Google ile oturum açma özelliğini kullanarak hesap oluşturma işlemini gerçekleştirme (oluşturma amaçlı)

Bir kullanıcının hizmetinizde hesap oluşturması gerektiğinde Google, jeton değişimi uç noktanıza intent=create belirten bir istek gönderir.

İstek aşağıdaki biçimde olur:

POST /token HTTP/1.1
Host: oauth2.example.com
Content-Type: application/x-www-form-urlencoded

response_type=token&grant_type=urn:ietf:params:oauth:grant-type:jwt-bearer&scope=SCOPES&intent=create&assertion=JWT&client_id=GOOGLE_CLIENT_ID&client_secret=GOOGLE_CLIENT_SECRET

Jeton değişimi uç noktanız aşağıdaki parametreleri işleyebilmelidir:

Jeton uç noktası parametreleri
`intent`	Bu istekler için bu parametrenin değeri `create`'dır.
`grant_type`	Değiştirilen jetonun türü. Bu istekler için bu parametre `urn:ietf:params:oauth:grant-type:jwt-bearer` değerine sahiptir.
`assertion`	Google kullanıcısının kimliğinin imzalı onayını sağlayan bir JSON Web Token (JWT). JWT, kullanıcının Google Hesabı kimliği, adı ve e-posta adresi gibi bilgileri içerir.
`client_id`	Google'a atadığınız istemci kimliği.
`client_secret`	Google'a atadığınız istemci gizli anahtarı.

assertion parametresindeki JWT, kullanıcının Google Hesabı kimliğini, adını ve e-posta adresini içerir. Bu bilgileri, hizmetinizde yeni bir hesap oluşturmak için kullanabilirsiniz.

create amaç isteklerine yanıt vermek için jeton değişimi uç noktanız aşağıdaki adımları uygulamalıdır:

JWT onayını doğrulayın ve kodunu çözün.
Kullanıcı bilgilerini doğrulayın ve yeni hesap oluşturun.

JWT onayını doğrulama ve kodunu çözme

Kodu çözüldüğünde JWT onayı aşağıdaki örnek gibi görünür:

{
  "sub": "1234567890",      // The unique ID of the user's Google Account
  "iss": "https://accounts.google.com",        // The assertion's issuer
  "aud": "123-abc.apps.googleusercontent.com", // Your server's client ID
  "iat": 233366400,         // Unix timestamp of the assertion's creation time
  "exp": 233370000,         // Unix timestamp of the assertion's expiration time
  "name": "Jan Jansen",
  "given_name": "Jan",
  "family_name": "Jansen",
  "email": "jan@gmail.com", // If present, the user's email address
  "email_verified": true,   // true, if Google has verified the email address
  "hd": "example.com",      // If present, the host domain of the user's GSuite email address
                            // If present, a URL to user's profile picture
  "picture": "https://lh3.googleusercontent.com/a-/AOh14GjlTnZKHAeb94A-FmEbwZv7uJD986VOF1mJGb2YYQ",
  "locale": "en_US"         // User's locale, from browser or phone settings
}

Google'ın yetkili olduğu durumlar:

email adresinin @gmail.com son eki var. Bu bir Gmail hesabı.
email_verified doğru ve hd ayarlandı. Bu bir G Suite hesabı.

Kullanıcı bilgilerini doğrulama ve yeni hesap oluşturma

Aşağıdaki koşullardan birinin geçerli olup olmadığını kontrol edin:

Onaylamanın sub alanında bulunan Google Hesabı kimliği, kullanıcı veritabanınızda yer alıyor.
Onaydaki e-posta adresi, kullanıcı veritabanınızdaki bir kullanıcıyla eşleşiyor.

Bu koşullardan biri doğruysa kullanıcıdan mevcut hesabını Google Hesabı ile bağlamasını isteyin. Bunu yapmak için isteğe error=linking_error değerini belirten ve kullanıcının e-posta adresini login_hint olarak veren bir HTTP 401 hatasıyla yanıt verin. Aşağıda örnek bir yanıt verilmiştir:

HTTP/1.1 401 Unauthorized
Content-Type: application/json;charset=UTF-8

{
  "error":"linking_error",
  "login_hint":"foo@bar.com"
}

Google, linking_error ile 401 hata yanıtı aldığında kullanıcıyı login_hint parametresiyle yetkilendirme uç noktanıza yönlendirir. Kullanıcı, tarayıcısında OAuth bağlantı akışını kullanarak hesap bağlama işlemini tamamlar.

Bu koşullardan hiçbiri doğru değilse JWT'de sağlanan bilgilerle yeni bir kullanıcı hesabı oluşturun. Yeni hesaplarda genellikle şifre ayarlanmaz. Kullanıcıların uygulamanızın yüzeylerinde Google ile oturum açabilmesi için Google ile oturum açma özelliğini diğer platformlara eklemeniz önerilir. Alternatif olarak, kullanıcıya şifre kurtarma akışınızı başlatan bir bağlantı içeren e-posta gönderebilirsiniz. Bu bağlantı, kullanıcının diğer platformlarda oturum açmak için şifre belirlemesine olanak tanır.

Oluşturma işlemi tamamlandığında erişim jetonu ve yenileme jetonu verin ve değerleri HTTPS yanıtınızın gövdesinde bir JSON nesnesi olarak döndürün. Örneğin:

{
  "token_type": "Bearer",
  "access_token": "ACCESS_TOKEN",
  "refresh_token": "REFRESH_TOKEN",
  "expires_in": SECONDS_TO_EXPIRATION
}

Google API'si istemci kimliğinizi alma

Hesap bağlama kayıt işlemi sırasında Google API istemci kimliğinizi sağlamanız gerekir.

OAuth bağlantısı oluşturma adımlarını tamamlarken oluşturduğunuz projeyi kullanarak API istemci kimliğinizi almak için. Bunun için aşağıdaki adımları uygulayın:

Müşteriler sayfasına gidin.
Bir Google API'leri projesi oluşturun veya seçin.

Projenizde Web uygulaması türü için bir istemci kimliği yoksa istemci kimliği oluşturmak üzere İstemci oluştur'u tıklayın. Sitenizin alanını Yetkilendirilmiş JavaScript kaynakları kutusuna eklediğinizden emin olun. Yerel testler veya geliştirme yaparken Yetkili JavaScript kaynakları alanına hem http://localhost hem de http://localhost:<port_number> eklemeniz gerekir.

Önemli nokta: Yerel testler veya geliştirme için http://localhost ve http://localhost:<port_number> değerlerini Yetkilendirilmiş JavaScript kaynakları alanına ekleyin.
Not: İstemci kimliği aşağıdaki örneğe benzer:
```
1234567890-abc123def456.apps.googleusercontent.com
```

Uygulamanızı doğrulama

OAuth 2.0 Playground aracını kullanarak uygulamanızı doğrulayabilirsiniz.

Araçta aşağıdaki adımları uygulayın:

OAuth 2.0 Yapılandırma penceresini açmak için Yapılandırma'yı tıklayın.
OAuth akışı alanında İstemci tarafı'nı seçin.
OAuth Uç Noktaları alanında Özel'i seçin.
OAuth 2.0 uç noktanızı ve Google'a atadığınız istemci kimliğini ilgili alanlarda belirtin.
1. adım bölümünde herhangi bir Google kapsamı seçmeyin. Bunun yerine bu alanı boş bırakın veya sunucunuz için geçerli bir kapsam yazın (OAuth kapsamları kullanmıyorsanız rastgele bir dize yazabilirsiniz). İşiniz bittiğinde API'leri yetkilendir'i tıklayın.
2. adım ve 3. adım bölümlerinde OAuth 2.0 akışını inceleyin ve her adımın beklendiği gibi çalıştığını doğrulayın.

Uygulamanızı Google Hesabı Bağlantısı Demosu aracını kullanarak doğrulayabilirsiniz.

Araçta aşağıdaki adımları uygulayın:

Google ile oturum aç düğmesini tıklayın.
Bağlamak istediğiniz hesabı seçin.
Hizmet kimliğini girin.
İsteğe bağlı olarak, erişim isteğinde bulunacağınız bir veya daha fazla kapsam girin.
Start Demo'yu (Demoyu Başlat) tıklayın.
İstendiğinde, bağlantı isteğini onaylayabileceğinizi ve reddedebileceğinizi onaylayın.
Platformunuza yönlendirildiğinizi onaylayın.

OAuth ve Google ile Oturum Açma ile Basitleştirilmiş Bağlantı Koleksiyonlar ile düzeninizi koruyun İçeriği tercihlerinize göre kaydedin ve kategorilere ayırın.

Genel Bakış

Basitleştirilmiş bağlantı oluşturma koşulları

OAuth sunucunuzu uygulama

Mevcut kullanıcı hesabı olup olmadığını kontrol etme (amacı kontrol edin)

JWT onayını doğrulama ve kodunu çözme

Google Hesabı'nın kimlik doğrulama sisteminizde olup olmadığını kontrol edin

Otomatik bağlamayı yönetme (amaca alma)

JWT onayını doğrulama ve kodunu çözme

Google Hesabı'nın kimlik doğrulama sisteminizde olup olmadığını kontrol edin

Google ile oturum açma özelliğini kullanarak hesap oluşturma işlemini gerçekleştirme (oluşturma amaçlı)

JWT onayını doğrulama ve kodunu çözme

Kullanıcı bilgilerini doğrulama ve yeni hesap oluşturma

Google API'si istemci kimliğinizi alma

Uygulamanızı doğrulama

OAuth ve Google ile Oturum Açma ile Basitleştirilmiş Bağlantı